UŜycie certyfikatów niekwalifikowanych do podpisywania kodu w technologii Java wersja 1.2
Spis treści WSTĘP... 3 1. TWORZENIE KLUCZA PRYWATNEGO I CERTYFIKATU... 3 1.1. TWORZENIE śądania CERTYFIKATU (CSR)... 3 1.2. TWORZENIE CERTYFIKATU NA PODSTAWIE UTWORZONEGO śądania (CSR)... 5 1.3. POBIERANIE CERTYFIKATU CERTUM CA I CERTYFIKATÓW POŚREDNICH... 5 1.4. IMPORTOWANIE CERTYFIKATU CERTUM CA I CERTYFIKATÓW POŚREDNICH... 6 1.5. INSTALOWANIE CERTYFIKATU UśYTKOWNIKA... 7 2. PODPISYWANIE KODU... 8 3. WERYFIKOWANIE... 8 4. IMPORT/EKSPORT KLUCZY... 8
Wstęp Wykonywalny kod Java może być podpisany cyfrowo w technologii Java Code Signing przy zastosowaniu specjalnego certyfikatu do podpisywania kodu, oferowanego przez CERTUM. Niezbędna do tego celu jest również aplikacja Sun JDK (w szczególności programy keytool oraz jarsigner, lub dostępny w starszych wersjach javakey). Dzięki podpisowi cyfrowemu dowolny aplet lub plugin może żądać rozszerzonych uprawnień. Podpis cyfrowy daje również odbiorcy dużą pewność co do autentyczności kodu. W celu uzyskania dalszych informacji odwiedź stronę Sun Java Developer Kit. 1. Tworzenie klucza prywatnego i certyfikatu 1.1. Tworzenie Ŝądania certyfikatu (CSR) Zmień katalog na c:\program Files\Java\jdk1.x (lub inny gdzie została zainstalowana Java), gdzie x oznacza wersje Javy lub dodaj tą ścieżkę do PATH i wydaj polecenie: keytool -genkey -keyalg RSA -keysize 2048 -alias cunizetowski Powyższe polecenie spowoduje wygenerowanie klucza prywatnego wraz z odpowiadającym mu żądaniem certyfikatu CSR. Algorytm generujący klucze jest zgodny ze standardem RSA i jest 2048 bitowej długości. -alias jest nazwą certyfikatu np. Imię, pseudonim itp. Podczas generowania CSR będziesz musiał podać poniższe informacje: - What is your first and last name? podaj swoje imię i nazwisko, np. Jan Kowalski. W przypadku, kiedy staramy się o certyfikat dla firmy programistycznej powinniśmy podać nazwę firmy lub jej alias, np.: Firma Trusted Code, Firma S.A, Firma Java Code itp. - What is the name of your organizational unit? podaj nazwę oddziału lub wydziału swojej firmy czy instytucji, dla której starasz się o certyfikat. Osoby prywatne mogą wpisać: Unizeto(r) Developer Certificates, pozostali podają jednostkę organizacyjną np.: Dział Programowania, Instytut Metalurgii, Oddział Intensywnej Terapii itp. - What is the name of your organization? podaj nazwę swojej firmy lub instytucji, dla której starasz się o certyfikat. Osoby prywatne mogą wpisać: Java Code Signing, pozostali podają nazwę firmy lub Organizacji np.: Firma S.A, Uniwersytet w Ludowie Dolnym, Klub Kubusia Puchatka itp. - What is the name of your City or Locality? Podaj nazwę swojej miejscowości, np.: Szczecin, Warszawa, Lodowo Dolne itp. - What is the name of your State or Province? 3
Podaj nazwę swojego województwa nie stosując skrótów, np.: Zachodniopomorskie, Mazowieckie itd. - What is the two-letter country code for this unit? Podaj kod ISO swojego kraju - PL (duże litery). Nie należy stosować małych liter lub innych popularnych oznaczeń, np.: RP, PRL itd. Uwaga: Używanie znaków specjalnych % ^ $ _ lub polskich znaków diakrytycznych: ŻźćąŁ przy podawaniu tych informacji spowoduje nieprawidłowe wygenerowanie certyfikatu! Przykład wygenerowania pary kluczy przy użyciu narzędzia keytool : Aby sprawdzić czy polecenie zostało wykonane poprawnie, można użyć polecenia keytool -list lub keytool -list -v. Obie te opcje wyświetlą (z różnym poziomem szczegółowości) zawartość bazy z kluczami./keystore: Po wykonaniu powyższej czynności należy wydać polecenie: keytool -certreq -alias cunizetowski -file c:\mycert.csr Spowoduje to zapisanie żądania certyfikatu o nazwie cunizetowski do pliku mycert.csr : 4
Przykładowy plik żądania powinien wyglądać podobnie jak poniżej: 1.2. Tworzenie certyfikatu na podstawie utworzonego Ŝądania (CSR) Mając wygenerowane Ŝądanie wchodzimy na stronę CERTUM (http://www.certum.pl/certum/cert,oferta_java.xml) i wybieramy Kup Java Code Signing. Wypełniamy formularz zgłoszeniowy i wklejamy CSR. UWAGA: W celu wklejania certyfikatu do pliku należy skopiować fragment tekstu od linii " BEGIN CERTIFICATE --" do "--END CERTIFICATE--", używając do tego celu edytora tekstowego np. Notepad i myszki. Nie należy używać do tej operacji Worda, czy innego procesora tekstowego! Po wykonaniu powyższej procedury zostaniemy poinformowani stosownym emailem o dalszych krokach naszych działań. 1.3. Pobieranie certyfikatu Certum CA i certyfikatów pośrednich Aby pobrać certyfikat Certum CA lub certyfikaty pośrednie należy wejść na stronę www.certum.pl do działu Obsługa certyfikatów Zaświadczenia i klucze. Po wybraniu certyfikatu należy wybrać opcję Certyfikat dla serwerów WWW. Wyświetli się interesujący nas certyfikat, który zaznaczymy myszką, wkleimy do pliku i zapiszemy. 5
UWAGA: W celu wklejania do pliku certyfikatu prezentowanego na stronie należy skopiować fragment tekstu od linii "--BEGIN CERTIFICATE --" do "--END CERTIFICATE--", używając do tego celu edytora tekstowego np. Notepad i myszki. Nie należy używać do tej operacji Worda, czy innego procesora tekstowego! W przypadku pobierania certyfikatów pośrednich, wybieramy interesujący nas certyfikat, np. CERTUM Level IV z listy (Certyfikaty Level IV należy pobrać w przypadku, gdy posiadamy certyfikat typu Trusted, certyfikat poziomu III należy pobrać w sytuacji, gdy posiadamy certyfikat typu Enterprise / Wildcard, certyfikat poziomu II należy pobrać w sytuacji, gdy posiadamy certyfikat typu Commercial; dla certyfikatów typu Private pobierany jest certyfikat klasy I). Pozostała część procesu (zapisanie do pliku) przebiega jak dla certyfikatu Certum CA. 1.4. Importowanie certyfikatu Certum CA i certyfikatów pośrednich Aby do bazy certyfikatów dodać certyfikat Certum CA należy wydać polecenie: keytool -import -trustcacerts -file c:\work\ca.der -alias CertumCA W ten sposób do bazy z zaufanymi urzędami certyfikującymi zostanie dodany certyfikat Certum CA. Opcja -file wskazuje nam położenie pliku z certyfikatem, z kolei -alias to nazwa, pod którą certyfikat będzie widniał w bazie: Procedurę powtarzamy dla certyfikatu pośredniego, używając polecenia: keytool -import -trustcacerts -file c:\work\ca1.der alias Certumlvl_1 Do bazy zostanie dodany certyfikat pośredni Certum Level I. Znaczenie opcji -file i -alias jest takie same jak powyżej. Aby wyświetlić zawartość naszej bazy z certyfikatami użyjemy opcji: keytool -list lub keytool -list v 6
1.5. Instalowanie certyfikatu uŝytkownika Aby zainstalować certyfikat użytkownika w bazie, należy pobrać go ze stron CERTUM (certyfikat powinien być szyfrowany binarnie algorytmem DER ściągając certyfikat z naszej strony poprzez Zapisz binarnie zapisuje certyfikat szyfrowany algorytmem DER rozszerzenie *.cer), a następnie wydać polecenie (nie ma konieczności zmiany rozszerzenia z *.cer na *.der): keytool -import -file c:\work\certkod.der -alias cunizetowski gdzie -alias oznacza nazwę certyfikatu, natomiast -file jest ścieżką prowadzącą do naszego pliku z certyfikatem: Aby wyświetlić zawartość naszej bazy z certyfikatami użyjemy opcji: keytool list lub keytool -list v 7
2. Podpisywanie kodu Przejdź do katalogu, w którym zapisany jest program jarsigner (domyślnie c:\program Files\Java\jdk1.x.0\bin\, gdzie x oznacza numer wersji javy - można również dodać ścieżkę do PATH) i wydaj polecenie: jarsigner Notepad.jar cunizetowski Spowoduje to złożenie podpisu na pliku Notepad.jar przy użyciu klucza o nazwie cunizetowski: 3. Weryfikowanie Aby zweryfikować poprawność podpisu wydajemy polecenie: W celu uzyskania bardziej szczegółowych informacji o podpisie, wpisujemy: Wyświetlone zostaną szczegółowe dane podpisów. 4. Import/Eksport kluczy Po otrzymaniu certyfikatu wskazane jest by klucz prywatny zabezpieczony został na osobnym nośniku, np. dyskietce lub CD. Wszystkie niezbędne do pracy programu klucze dla podpisywania apletów Java przechowywane są w pliku *.keystore (w katalogu domowym). Jego zabezpieczenie pozwala odzyskać certyfikat w wypadku awarii dysku twardego. 8